Погрешен VPN обид: кој клас на акредитиви ја премина границата?
Неуспешен обид можеби не испрати ништо или предал лозинка на тој што одговорил. Класифицирајте го артефактот пред да одлучите што да отповикате.
Се поврзавте со погрешен VPN и клиентот пријави грешка. Дали тоа имаше значење зависи од тоа што преминало низ линијата пред грешката, а самиот збор не ви го кажува тоа. Некои ракувања воопшто не носат тајна, додека други предаваат лозинка на секој што одговорил на адресата. Утврдете кој од двата случаи се случил пред да отповикате нешто.
Запрете и зачувајте ги доказите
Зачувајте го дневникот на клиентот, избраниот профил, адресата што ја внесовте и приближното време. Запишете ги надвор од клиентот, бидејќи уредување на профил или повторно инсталирање го уништува записот што ќе ви треба. Запрете го секој понатамошен обид додека крајната точка не биде потврдена преку пат што вие го контролирате.
Никогаш не објавувајте нередуциран профил или дневник на јавен форум додека прашувате дали обидот бил безбеден. Овие документи често содржат пат до приватен клуч, внатрешно име на хост или токен, затоа прво редуцирајте и споделете со администраторот што ја поседува крајната точка.
Што може да ја премине границата
Поголемиот дел од конфузијата доаѓа од третирањето на секоја грешка како еден вид настан. Четири различни работи можат да стигнат до другата страна: јавен сертификат, потпис што докажува дека клучот бил искористен, лозинка или еднократен код, и датотека што самите сте ја избрале. Секоја има своја последица и свое поправање. Класифицирањето на артефактот е чекорот што го одредува сето потоа.
Случајот со сертификат е најблаг, бидејќи она што патува е јавно по дизајн и неговите идентификациски полиња веќе им се видливи на сите што се поврзуваат. Потписот врз предизвик вели дека клучот бил искористен, а не дека бил испратен. Лозинката е спротивен случај: тој што ја прими може да ја проба на друго место, а услугата изградена за проверка на лозинки е предвидениот примач на токму таа вредност.
Доказот за клуч не е поставување клуч
Современиот TLS намерно ги држи овие две идеи одвоени. RFC 8446 ја опишува пораката CertificateVerify, каде клиентот потпишува предизвик со приватниот клуч што одговара на неговиот сертификат. Потписот покажува поседување без да го носи клучот, затоа обидот автентициран со сертификат не е автоматски компромитација на клучот.
Тоа смирување има граница што вреди да се каже. Доказот покажува дека клучот учествувал во таа размена и не кажува ништо за тоа што локална програма на машината можеби веќе прочитала. Исто така не кажува ништо за тоа колку далеку всушност стигнал непознат обид, затоа дневникот и понатаму е поважен од теоријата.
Лозинките следат сосема друг модел на доверба. Концентратор конфигуриран со надворешен проверувач може да ја пренесе поднесената вредност, па нејзиното примање е предвидената функција, а погрешната дестинација е вистинско изложување, а не теоретско.
Реконструирајте го обидот од дневникот
Четири факти го реконструираат обидот: адресата со која навистина се контактирало, дали идентитетот на серверот бил валидиран, кој метод на автентикација бил избран и каде процесот застанал. Секој се појавува во дневникот на клиентот и секој исклучува различна приказна. Грешка за рути или доделена адреса не кажува ништо за тоа што веќе било на линијата, бидејќи автентикацијата можела да заврши пред поставувањето на тунелот да не успее.
Извлечете ги тие факти од самиот дневник на клиентот, а не од меморијата. Тесен филтер го држи излезот доволно краток за редуцирање и споделување:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Не го заменувајте името на хостот со ништо од ова. Познато име, тековен DNS одговор и предупредување за сертификат што го прикажува софтверот го опишуваат сегашното, а не претходното поврзување. Ниту барањето лозинка не е доказ дека нешто било испратено, бидејќи клиентот можеби не успеал пред да го поднесе.
Одлучете, потоа постапете
Одлуката произлегува од артефактот, а не од тоа колку алармантно изгледала грешката. Прочитајте ги четирите реда наспроти фактите што ги реконструиравте:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Ако лозинка стигнала до несакана услуга, сменете ја преку каналот за управување со сметката и проверете каде другаде била повторно искористена. Истечен еднократен код го затвора тој пат, но сесијата создадена со него не, затоа побарајте од администраторот за идентитет да ги прегледа сесиите. Ако датотека со клуч навистина била поставена, следете ја постапката за отповикување на издавачката организација наместо да чекате доказ за злоупотреба.
Потоа запишете го ограничениот резултат: што било испратено, што останува непознато и кој акредитив бара постапка. Токму тој запис ќе го побара подоцнежниот преглед, и тој е покорисен од кој било од двете удобни заклучоци.